Zoom Rooms und Workplace: Mehrere Schwachstellen ermöglichen Privilegieneskalation
WID-SEC-2026-0653 · erstmals 10.03.2026 · aktualisiert 12.03.2026 · CVSS 9,6
Worum es geht
Zoom Workplace ist eine Plattform, die Videokonferenz-, Chat-, Telefon- und Collaboration-Tools integriert, um Remote- und Hybrid-Arbeitsumgebungen in Unternehmen zu unterstützen. Zoom Rooms ist ein softwarebasiertes Raumsystem, das integrierte Audiokonferenzen, drahtlose Bildschirmfreigabe und Videokonferenzen ermöglicht. Ein entfernter, anonymer oder lokaler Angreifer kann mehrere Schwachstellen in Zoom Workplace und Zoom Rooms ausnutzen, um seine Privilegien zu erhöhen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- seine Privilegien zu erhöhen
Bin ich betroffen?
Betroffen sind laut BSI:
- Zoom Video Communications Rooms <6.6.5
- Zoom Video Communications Workplace <6.6.11
- Zoom Video Communications Workplace <6.6.0
- Zoom Video Communications Rooms <6.6.0
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Zoom Video Communications Rooms 6.6.5
- Zoom Video Communications Workplace 6.6.11
- Zoom Video Communications Workplace 6.6.0
- Zoom Video Communications Rooms 6.6.0
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Zoom Security Bulletin ZSB-26002 vom 2026-03-09 www.zoom.com
- Zoom Security Bulletin ZSB-26003 vom 2026-03-09 www.zoom.com
- Zoom Security Bulletin ZSB-26004 vom 2026-03-09 www.zoom.com
- Zoom Security Bulletin ZSB-26005 vom 2026-03-09 www.zoom.com
CVE: CVE-2026-30900, CVE-2026-30901, CVE-2026-30902, CVE-2026-30903
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.